Investigadores hackean el navegador OpenAI Atlas y hacen una compra en Amazon sin que el usuario lo sepa

Investigadores de la empresa Zenity han descubierto más de 12 vulnerabilidades en navegadores con IA y han demostrado de forma práctica que se puede obligar al navegador OpenAI Atlas a realizar una compra no autorizada en Amazon y a enviar spam a todos los contactos de WhatsApp del usuario, sin que este lo sepa ni lo consienta.

Qué ha encontrado Zenity

Zenity, especializada en la seguridad de agentes de IA, realizó una auditoría sistemática de varios navegadores con IA: herramientas de nueva generación que permiten a los modelos de lenguaje actuar por su cuenta en internet, es decir, hacer clic, rellenar formularios, comprar y enviar mensajes. Según Wired, esa autonomía es precisamente su principal vulnerabilidad.

• Se han detectado más de 12 vulnerabilidades en distintos navegadores con IA
• Uno de los principales objetivos de las pruebas fue OpenAI Atlas
• Demostración del hackeo: compra no autorizada de un producto en Amazon
• Segundo vector: envío masivo de spam a los contactos del usuario a través de WhatsApp
• La investigación de Zenity ha sido publicada en Wired

Cómo se secuestra un navegador con IA

Atlas es el navegador con IA de OpenAI, capaz de manejar páginas web como lo haría una persona: ve el contenido, pulsa botones, introduce datos y ejecuta tareas de varios pasos. Los investigadores de Zenity utilizaron contra él la técnica de prompt injection: la inyección de instrucciones ajenas a través de contenido malicioso en una página web.

Cuando Atlas accedía a un sitio preparado a propósito, leía instrucciones ocultas como si fueran órdenes de confianza del usuario y las ejecutaba. En el escenario de demostración, el navegador tramitó un pedido real en Amazon mientras el usuario no sospechaba nada. El ataque funciona en segundo plano: el agente de IA es autónomo por naturaleza, y el usuario puede no darse cuenta a tiempo de una acción sospechosa.

«Los agentes de IA actúan en nombre del usuario y tienen acceso a sus

cuentas, por lo que las vulnerabilidades en ellos son más peligrosas que en el software convencional», afirman los investigadores de Zenity en su informe, publicado en Wired.

Spam por WhatsApp: una amenaza real para los contactos

El segundo escenario demostrado ya no pone en riesgo el bolsillo, sino la reputación. El atacante obliga al navegador con IA a enviar spam por WhatsApp a toda la agenda del usuario. Para el destinatario, ese mensaje parece venir de una persona conocida, lo que crea condiciones ideales para el phishing.

Mientras tanto, el propietario del navegador comprometido puede tardar mucho en darse cuenta de que su agente ha estado enviando mensajes no deseados. Si en WhatsApp hay varios cientos de contactos, el ataque alcanza de inmediato a un círculo amplio de personas, y todo ello sin que la víctima haga un solo clic.

Qué significa

Los navegadores con IA son una clase de software radicalmente nueva, y los estándares de seguridad para ellos aún no se han consolidado. La investigación de Zenity muestra que la velocidad de lanzamiento de productos al mercado va por delante del trabajo en protección. Mientras OpenAI y otros desarrolladores amplían las capacidades de sus agentes, la resistencia de esos agentes a las manipulaciones externas sigue siendo una cuestión abierta. Conviene que los usuarios sean cautelosos al conceder permisos amplios a los navegadores con IA, especialmente el acceso a cuentas financieras y aplicaciones de mensajería.

Preguntas frecuentes

¿Qué es el prompt injection en los navegadores con IA?

El prompt injection es un ataque en el que se inyectan instrucciones maliciosas a través de datos que el agente de IA procesa mientras trabaja (por ejemplo, texto oculto en una página web). El agente las interpreta como órdenes de confianza del usuario y realiza acciones que este no ha solicitado, desde compras hasta el envío de mensajes.

¿Puede OpenAI Atlas cobrar dinero sin permiso?

Sí, es justo lo que demostraron los investigadores de Zenity: el navegador tramitó un pedido real en Amazon durante un experimento controlado. El ataque es posible cuando el agente tiene acceso a una cuenta con datos de pago guardados.

*Meta ha sido declarada organización extremista y está prohibida en Rusia.